pip --upgrade与requirements.txt固定版本共存时的版本解析及最佳实践问询

当requirements.txt中使用==指定了精确的固定版本号（例如numpy==1.18.1）时，即使执行pip install时传入--upgrade参数，pip也不会将对应包升级到更高版本。

--upgrade参数的核心作用是将包升级到「当前版本约束允许的最新版本」：如果约束是精确匹配的==x.y.z规则，允许的版本仅有x.y.z一个，因此--upgrade对这类包不会产生任何效果，最终安装的版本和requirements.txt中指定的固定版本完全一致。只有当依赖声明为范围约束（例如numpy>=1.18.1）时，--upgrade才会将包升级到符合范围要求的最新发布版本。

示例命令执行效果：
执行python -m pip install --upgrade -r requirements.txt时，若requirements.txt中写有numpy==1.18.1，最终安装的numpy版本固定为1.18.1。

针对Docker镜像这类需要确定性构建的场景，可遵循以下规则规避版本问题：

• 全量锁定所有依赖版本：不仅锁定直接依赖，还要锁定所有间接依赖的精确版本，可通过pip freeze、Poetry、Pipenv等工具生成全量依赖锁定文件，避免仅声明直接依赖导致的间接依赖自动拉取最新版本的问题。
• 构建脚本中不要加入--upgrade参数：确定性构建场景下直接执行pip install -r 锁定的依赖文件即可，--upgrade只会引入不必要的不确定性。
• 区分依赖声明文件和版本锁定文件：不要直接手动修改全量锁定的requirements.txt，可通过Poetry、Pipenv这类包管理工具，先在依赖声明文件中修改直接依赖的版本要求，再重新生成全量锁定文件，避免人工维护的疏漏。
• 搭建私有PyPI源缓存：将所有构建用到的依赖包同步到私有镜像源，避免官方源删除旧版本包导致构建失败，同时也能保证每次构建拉取的包内容完全一致。
• 增加构建后校验步骤：依赖安装完成后执行pip check检查依赖冲突，也可将实际安装的依赖列表导出和锁定文件做对比，确保安装结果符合预期。

内容的提问来源于stack exchange，提问作者Eric McLachlan